La Ley de IA de la UE y la IA en salud, explicada

Respuesta corta: La Ley de IA (Reglamento (UE) 2024/1689) regula los sistemas de IA por riesgo. Para la salud, tres situaciones son importantes. Un sistema de IA que es, o es un componente de seguridad de, un producto sanitario que requiere una evaluación de conformidad por terceros según el MDR o el IVDR es de alto riesgo (Anexo I): debe cumplir los requisitos de la Ley sobre gestión de riesgos, datos, documentación, registro, transparencia, supervisión humana, precisión y ciberseguridad, evaluados junto con la evaluación de conformidad del producto. La IA utilizada para triaje de emergencias o para decidir el acceso a servicios de salud es de alto riesgo según el Anexo III, incluso fuera de la legislación de productos. Los asistentes y chatbots que no son de alto riesgo aún tienen deberes de transparencia (las personas deben saber que están hablando con IA; el contenido generado se marca). La Ley entró en vigor el 1 de agosto de 2024, con obligaciones escalonadas hasta 2027; la Comisión propuso a finales de 2025 ajustar algunos plazos, por lo que consulte el estado actual.

La pirámide de riesgo

La Ley de IA de la UE clasifica los sistemas de IA en niveles: prácticas prohibidas (vetadas desde febrero de 2025), sistemas de alto riesgo según el Anexo I (IA en dispositivos médicos que requieren un organismo notificado) y el Anexo III (triaje de emergencias, acceso a servicios de salud), sistemas de riesgo limitado con deberes de transparencia como los chatbots de salud, herramientas de riesgo mínimo sin obligaciones específicas y modelos de IA de propósito general con deberes para el proveedor.

Nivel	Ejemplos de salud	Consecuencia
Prohibido (Art. 5)	Técnicas manipuladoras que explotan vulnerabilidades, rastreo no dirigido para reconocimiento facial, reconocimiento de emociones en el trabajo o la escuela (con excepciones para usos médicos y de seguridad)	Prohibido desde el 2 de febrero de 2025
Alto riesgo, Anexo I	IA en un producto sanitario o DIV que necesita un organismo notificado (la mayoría de software de clase IIa y superior): IA de imagen, apoyo a la decisión, calculadoras de dosis	Requisitos completos de alto riesgo, evaluados dentro de la evaluación de conformidad MDR/IVDR
Alto riesgo, Anexo III	Sistemas de llamadas de emergencia y triaje de pacientes; IA que evalúa la elegibilidad para beneficios y servicios de salud pública; categorización biométrica; decisiones de empleo sobre trabajadores de la salud	Requisitos completos de alto riesgo, autoevaluación u organismo notificado según las reglas del Anexo III, registro en la base de datos de la UE
Riesgo limitado (transparencia, Art. 50)	Chatbots y asistentes de salud, texto o imágenes generados por IA sobre salud, contenido tipo deepfake	Divulgar la interacción con IA; marcar el contenido generado; supervisión humana cuando sea relevante
Riesgo mínimo	Filtros de spam, optimización de horarios, herramientas administrativas	Sin obligaciones específicas; códigos voluntarios
Modelos de IA de propósito general (Capítulo V)	Modelos fundacionales utilizados en productos de salud	Obligaciones del proveedor: documentación técnica, política de derechos de autor, resumen de entrenamiento; deberes adicionales para modelos de riesgo sistémico

Una aplicación de salud que no es un producto y no entra en el Anexo III (un registro con una función de resumen de IA, un diario de síntomas con una interfaz conversacional) se encuentra en el nivel limitado: transparencia y el deber general de alfabetización en IA para el personal (Art. 4), además de todo lo que el RGPD ya exige. Si la misma aplicación añade una función que informa sobre el diagnóstico o el tratamiento, se convierte en un producto según el MDR y, si interviene un organismo notificado, de alto riesgo según la Ley de IA; consulte Software como producto sanitario.

Lo que requiere el alto riesgo (Capítulo III, Sección 2)

Un sistema de IA de alto riesgo según la Ley de IA de la UE requiere un sistema de gestión de riesgos, gobernanza de datos para datos de entrenamiento y prueba, documentación técnica y registro, transparencia para los implementadores, supervisión humana por diseño, precisión, robustez y ciberseguridad, un sistema de gestión de calidad, evaluación de conformidad con marcado CE, monitorización post-comercialización e informes de incidentes, y registro en la base de datos de la UE para sistemas del Anexo III.

Sistema de gestión de riesgos a lo largo del ciclo de vida (Art. 9), integrado con ISO 14971 para productos.
Gobernanza de datos (Art. 10): datos de entrenamiento, validación y prueba relevantes, representativos, examinados en busca de sesgos, con procedencia documentada; procesamiento de datos de categorías especiales para corrección de sesgos permitido bajo condiciones.
Documentación técnica (Art. 11, Anexo IV) y registro / mantenimiento de registros (Art. 12) para trazabilidad.
Transparencia e instrucciones para los desplegadores (Art. 13).
Supervisión humana por diseño (Art. 14): la capacidad de comprender, anular y detener.
Precisión, robustez y ciberseguridad (Art. 15), con métricas declaradas.
Un sistema de gestión de calidad (Art. 17), que para los productos es el sistema ISO 13485 ampliado.
Evaluación de conformidad, el marcado CE y la declaración de conformidad de la UE que cubren ambas regulaciones; registro en la base de datos de la UE para sistemas del Anexo III.
Vigilancia post-comercialización y notificación de incidentes graves (Art. 72-73), coordinada con la vigilancia MDR.
Los desplegadores (hospitales, clínicas) tienen sus propios deberes: usar según las instrucciones, supervisión humana, registros, informar a las personas, y para organismos públicos una evaluación de impacto en los derechos fundamentales (Art. 27).

La superposición con el MDR y el IVDR

La Ley de IA de la UE se superpone con el MDR y el IVDR por diseño: para la IA en dispositivos médicos listados en el Anexo I, los requisitos de la Ley se evalúan como parte de la evaluación de conformidad del dispositivo por el mismo organismo notificado, con un único conjunto de documentación y un sistema de calidad. Las normas armonizadas de CEN-CENELEC JTC 21 darán presunción de conformidad una vez publicadas.

La Ley se redactó para evitar un segundo proceso paralelo: para los productos del Anexo I, los requisitos de IA se evalúan como parte de la evaluación de conformidad MDR/IVDR por el mismo organismo notificado, que también debe estar designado para la Ley de IA; la documentación puede ser un conjunto único; el sistema de calidad es uno. Las normas armonizadas (sobre riesgo de IA, calidad de datos, robustez) están siendo desarrolladas por CEN-CENELEC JTC 21 y darán presunción de conformidad; hasta que existan, los fabricantes utilizan ISO/IEC 42001, ISO/IEC 23894 y las normas de productos. Se espera que el Grupo de Coordinación de Productos Sanitarios y la Junta de IA publiquen directrices conjuntas; la interacción entre la vigilancia post-comercialización y la notificación de incidentes es el área a observar.

Cronograma

La Ley de IA de la UE entró en vigor el 1 de agosto de 2024. Las prohibiciones y los deberes de alfabetización en IA se aplicaron a partir del 2 de febrero de 2025, las obligaciones de los modelos de propósito general a partir del 2 de agosto de 2025, la mayor parte de la Ley, incluidos los sistemas de alto riesgo del Anexo III, a partir del 2 de agosto de 2026, y los sistemas de alto riesgo del Anexo I, como la IA en dispositivos médicos, a partir del 2 de agosto de 2027, sujetas a los ajustes propuestos.

1 de agosto de 2024: entrada en vigor.
2 de febrero de 2025: se aplican las prohibiciones y las obligaciones de alfabetización en IA.
2 de agosto de 2025: obligaciones de los modelos de IA de propósito general; gobernanza (Oficina de IA, autoridades notificadoras); sanciones.
2 de agosto de 2026: se aplica la mayor parte de la Ley, incluidos los sistemas de alto riesgo del Anexo III y las obligaciones de transparencia.
2 de agosto de 2027: sistemas de alto riesgo del Anexo I (IA en productos regulados como productos sanitarios) y modelos de propósito general comercializados antes de agosto de 2025.

En noviembre de 2025, la Comisión propuso, dentro de un "omnibus digital", vincular la aplicación de las normas de alto riesgo a la disponibilidad de normas y herramientas de apoyo, lo que podría modificar las fechas de 2026 y 2027; la propuesta estaba en negociación en el momento de redactar este documento. Considere las fechas anteriores como la ley tal como se adoptó y siga el Diario Oficial para conocer los cambios.

Lo que un equipo de aplicaciones de salud debe hacer ahora

Los pasos prácticos para un equipo de aplicaciones de salud bajo la Ley de IA de la UE son clasificar cada función de IA como dispositivo, Anexo III o nivel de transparencia, divulgar la interacción de IA y marcar el contenido generado, documentar los datos de entrenamiento y la evaluación por subgrupo, mantener a los humanos al control con las salidas como borradores, obtener la documentación del proveedor del modelo de propósito general y ejecutar el trabajo de GDPR en paralelo.

Clasificar cada función de IA: producto o no (¿Es una aplicación de salud un producto sanitario?); Anexo III o no; nivel de transparencia en caso contrario.
Divulgar la interacción con IA y marcar el contenido generado ahora; no cuesta nada y será obligatorio.
Documentar datos y evaluación: de dónde proceden los datos de entrenamiento y prueba, cómo se midió el rendimiento, por subgrupo; este es el núcleo de los artículos 10 y 15 y también una buena ingeniería (IA sobre datos médicos: el mapa).
Mantener a los humanos al mando: las salidas como borradores y sugerencias, nunca hechos clínicos confirmados automáticamente; registros de lo que produjo la IA y quién lo aceptó.
Verificar al proveedor del modelo: los proveedores de modelos de propósito general deben proporcionar la documentación que necesitará para su propio archivo.
Ejecutar el trabajo del RGPD (Artículo 22 sobre decisiones automatizadas, la AEPD) en paralelo; la Ley de IA no lo reemplaza (Artículo 9 del RGPD).

En Anpheros

Las funciones de IA de Anpheros reafirman y localizan lo que contiene el registro de una persona y se divulgan como IA; no diagnostican ni recomiendan tratamiento, por lo que el producto no es un producto sanitario y se sitúa en el nivel de transparencia de la Ley. El uso del modelo está documentado, las salidas tienen procedencia y nada de lo que produce un asistente se convierte en un hecho clínico en el registro sin que un humano lo afirme.

Esta página explica la regulación para equipos de producto e ingeniería. No es asesoramiento legal; los textos enlazados en Fuentes son la autoridad. Última revisión: octubre de 2026.

Páginas relacionadas

Fuentes

Preguntas frecuentes

¿Es todo producto sanitario con IA de alto riesgo según la Ley de IA?

Solo aquellos que se someten a una evaluación de conformidad por terceros según el MDR o el IVDR, que es la mayoría de software de clase IIa y superior. Un producto de clase I con IA que se autocertifica no es de alto riesgo según el Anexo I, pero aún tiene los deberes generales y de transparencia de la Ley.

¿Se aplica la Ley de IA a una empresa estadounidense?

Sí, cuando su sistema de IA se comercializa en la UE o su salida se utiliza en la UE, de la misma manera que se aplican el MDR y el RGPD. Los proveedores fuera de la UE nombran un representante autorizado para sistemas de alto riesgo.

¿Necesito una segunda marca CE para IA?

No. Para los productos del Anexo I, una evaluación de conformidad cubre ambas regulaciones y una marca CE y declaración de conformidad hacen referencia a ambas. La documentación debe cubrir los requisitos de la Ley de IA.

¿Qué cambia para un chatbot de salud?

Transparencia: se debe informar a los usuarios que están interactuando con IA, el contenido generado debe marcarse y el personal necesita alfabetización en IA. Si el chatbot proporciona asesoramiento individual de diagnóstico o tratamiento, se convierte en un producto sanitario y la situación cambia por completo.

Anpheros Platform

Pruébalo gratis en el sandbox

Tu primera llamada FHIR en 5 minutos. Una API HL7 FHIR R4 con el consentimiento del paciente integrado: pruébala en el sandbox y luego conecta tu propia app o sistema de clínica.

Crear un sandbox gratis Leer las guías para desarrolladores →

Gratis · 30 pacientes sintéticos · sin tarjeta

Esta guía es informativa y no sustituye la consulta médica. Para decisiones sobre tu salud, habla con tu médico. En una emergencia, llama al número de emergencias local (112 en Europa).

Escrito por

El equipo de Anpheros

Anpheros crea un historial médico que el paciente controla y puede compartir con cualquier clínica, en una plataforma HL7 FHIR R4, con sede en la UE. Estas guías te ayudan a entender y organizar tu salud; no reemplazan a tu médico.

Sobre Anpheros →